要約

  • NSFNETの後継は単一の新バックボーンではなく、NAP、商用ISP、Route Server、ルーティング登録簿、地域ネットワークから成る分散型の仕組みであり、退役には各要素の実動証明が必要だった。
  • 60日前の取り消せない終了通知とピアリングの試験切断が、バックアップ経路に隠れた問題を表面化させた。旧PRDBは物理ネットワーク停止後も、新RADBとの整合が取れるまで残された。

4月25日にピアリングが外されると、ほとんどのネットワークは静かなままだった。ただし電話は何本か入った。この静けさを「問題が一度もなかった」と読み替えることはできない。そこへ至るまでには、遅れた移行、旧サービスへの戻し、想定以上に残ったトラフィック、そして一度延期された試験があった。最終日の静けさは、問題を早く騒がせた結果だった。

Susan R. HarrisとElise Gerichは、翌年に発表した詳細な記録でこの操作をtest shutdownと呼んだ。本稿の「本番前に切る」「予行」という表現は分析上の言い換えで、当時の固有名称ではない。実際のピアリングを落とす以上、単なる模擬訓練でもなかった。目的は、最終停止まで数日残っている段階で、新経路の不備を本当の到達不能として見つけることにあった。

Gerichは移行日程を集約し、正式な終了通知を送る位置にいた。しかし退役は、彼女一人の作業ではない。Harrisが主要記録を共同執筆し、Merit、全米科学財団（NSF）、ANS、IBM、MCI、地域ネットワーク、商用ISP、NAP運営者、USC ISI、Routing Arbiterの担当者、各地のネットワーク運用者がそれぞれの回線・機器・方針を動かした。Gerichの仕事は、その分散した準備状況を一つの意思決定過程に編むことだった。

一台の後継機は存在しなかった

NSFは1992年、Meritとの協力契約を18か月延長した。後継の公募を行い、商用サービスが育つ時間を確保し、NSF自身は一般向けネットワークの直接運用から退くためである。1993年の公募と翌年初めの採択は、NSFNETを同型の一本で置き換えなかった。相互接続を担うNetwork Access Point（NAP）、MeritとUSC ISIによるRouting Arbiter、MCIの研究用vBNS、そして地域ネットワークが選ぶ商用ISPへ機能を分けた。

したがって停止の前提は四つあった。NAPが本番稼働すること。NSFNET側と地域側のISPがNAPへ接続すること。Route Serverと利用可能なルーティング登録簿が動くこと。各地域ネットワークが商用事業者へサービスを移すこと。一つの主体が自分の完了を宣言しても、全体の完了にはならない。

初期の日程は延びた。主系・予備系のRoute Serverは1994年11月に発送されたが、箱が届くだけでは経路サービスにならない。回線、フロントエンド、制御装置、スイッチ、ブリッジ、アドレス設計、セキュリティ、24時間監視、帯域外アクセスがそろう必要があった。Pacific BellとAmeritechのNAPではATMの準備度と性能に懸念があり、1995年3月にFDDIの代替構成を用意した。

この構造では、NSFは政策目標を決められ、Meritは旧網を運用でき、各事業者は自社設備を確認できても、誰も単独では「インターネット全体が代替経路だけで動く」と証明できない。退役は技術の切り替えであると同時に、組織をまたぐ証明の制度だった。

バックアップは欠陥も隠す

GerichはNSFのネットワーク責任者Priscilla Hustonとともに、地域ネットワークから移行予定と技術概要を受け取った。最初の10月31日目標に間に合った地域はなく、三、四か月遅れた例もあった。いったん移したネットワークを、導入時の問題のためNSFNETの全面サービスへ戻すことさえあった。

可逆な期間のロールバックは、利用者を守りながら学ぶ手段である。しかし残し続けた旧経路は別の問題を生む。4月半ばになっても、NSFNETを完全に切った地域ネットワークは七つだけだった。商用回線を持つ他の地域は旧バックボーンを予備として保持しており、欠けた経路、足りない容量、旧来の診断手順が無意識にそこを使う余地があった。

Gerichは3月、トラフィックが十分な速さで減っていないとコミュニティへ警告した。Meritは残存量の多い上位十の送信元をヒストグラムにした。契約上の移行と、パケットが実際に旧網を離れたことを区別するためである。T1の安全網を外したのも、説明されない逃げ道を一段ずつ消す行為だった。

取り消せない通知には順番がある

60日前の終了通知は取り消せない設計だった。通知後、そのノードを通るNSFNETサービスは復旧しない。最初はSURAnetの準備を確認した後のAtlantaで、Gerichは2月28日、残る19拠点に4月30日終了の正式通知を送った。

これは期限を知らせるだけの書類ではない。技術的な確信を、関係者が後戻りできない約束へ変える装置だった。通知前なら回線容量、到達性、診断方法について具体的な不足を出し、修正や一時的な戻しを求められる。通知後は、旧ノードが最後に助けてくれるという前提を運用計画から外さなければならない。

Meritは当初、4月21日にピアリングを一度外して戻し、28日に恒久的に外し、30日に運用を終える計画を立てた。各ネットワークから容量、接続性、診断に関する依存が報告され、チームは個別の問題を調整したが、最終期限は動かさなかった。期限の強さと証拠に応じる柔軟さは、互いの代替ではない。前者が行動を促し、後者が盲目的な停止を防ぐ。

試験は最初から成功しなかった。大量の経路変更によって設定ファイルが途中で切れたり壊れたりし、作業は延期された。記憶領域を増やし、ネットワーク一覧を縮める必要があった。旧Policy Routing Database（PRDB）の仕組みが、数千件の同時変更を扱えないことが判明したのである。これは予行の失敗ではなく、予行が買った情報だった。

修正後、ピアリングは4月25日に切られた。30日には各ノードを所在する時間帯の午前0時に停止した。記録は無障害や完璧な移行を保証していない。むしろ、遅延やロールバック、最初の失敗を、まだやり直せる時期の観測として扱ったことを示す。

ポリシーの時計は八日遅れて止まった

PRDBは4月30日を越えて稼働した。新しいRouting Arbiter Database（RADB）は空の状態から始まり、既存ツールはPRDBの属性を前提としていた。およそ4万件のプレフィックス方針、約100の設定ファイル、二週間ごとに生成される合計約25万行を移し、照合しなければならなかった。暫定的なadvisory属性を合意し、データを変換し、MaintainerとAutonomous Systemのオブジェクトを導入し、両方のDBを並行運用した。

受け入れ判定は、投入件数ではなく、生成設定を何度も一行ずつ比べることで行われた。Gerichらルーティング登録の実務者が1995年に共同執筆したRFC 1786は、複数の登録簿で共有するRIPE-81++表現を記録している。RADBとの設定整合とANSへの引き継ぎが整った5月8日、PRDBはようやく退役した。

Internet Hall of Fameは、Gerichが1995年の停止と商用ISPへの移行を監督したと記している。1987年からMeritでT1・T3 NSFNETを調整し、T3とRouting Arbiterの共同研究責任者を務め、Mark KnopperとNANOGを創設した経歴も挙げる。共通するのは、単独でネットワークを支配する力ではない。独立した運用者が観測を持ち寄り、差分を直視し、共同決定を可能にする場をつくる力である。

NSFNET退役の価値は4月30日の静けさだけにはない。4月25日にバックアップを一度取り除き、5月8日まで旧データを残した非対称な順序にある。信頼できる終了とは、古いものを同時に消す儀式ではなく、それぞれの依存が別々の証拠を通過してから役目を終える過程なのだ。

情報源